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Kleine Anfrage 

der Abgeordneten Katja Keul, Dr. Konstantin von Notz, Luise Amtsberg, 
Canan Bayram, Britta Haßelmann, Monika Lazar, Irene Mihalic, Filiz Polat, 
Tabea Rößner, Dr. Manuela Rottmann und der Fraktion 
BÜNDNIS 90/DIE GRÜNEN 


Einsatz von Spähsoftware bei der Strafverfolgung (Quellen- 
Telekommunikationsüberwachung und Online-Durchsuchung) 


Das Straf- und Strafverfahrensrecht als schärfster Eingriff des Staates in das Frei¬ 
heitsrecht erfordert strikte Wahrung von Rechtsstaatlichkeit und Grundrechten 
der Verfahrensbeteiligten wie aller Bürgerinnen und Bürger. Nur auf dieser 
Grundlage sind Effektivität, Praxistauglichkeit und Anpassung an moderne tech¬ 
nische Möglichkeiten Maßstäbe der Modernisierung der Strafprozessordnung. 

Die von der Großen Koalition 2017 in die Strafprozessordnung (StPO) einge¬ 
fügte Regelung der Ermittlungsmaßnahmen Quellen-Telekommunikations¬ 
überwachung (TKÜ) und Online-Durchsuchung werden nach Ansicht von 
Rechtswissenschaftlem und Sachverständigen für Informationstechnik den 
rechtsstaatlichen und grundrechtlichen Herausforderungen der Digitalisie¬ 
rung nicht gerecht und erscheinen bei Einhaltung der Vorgaben der StPO und 
des Grundgesetzes als praktisch unanwendbar (vgl. Buermeyer, Stellung¬ 
nahme zur Anhörung des Ausschusses für Recht und Verbraucherschutz am 
31. Mai 2017 (www.bundestag.de/ausschuesse/ausschuessel 8/a06/anhoerungen/ 
stellungnahmen/508846), Stellungnahme Chaos Computer Club (Neumann, 
Kurz, Rieger) ebenda, Blechschmitt, Zur Einführung von Quellen-TKÜ und 
Online-Durchsuchung, Strafverteidiger-Forum 2017 S. 361-365, Stellung¬ 
nahme Chaos Computer Club vom 4. Februar 2018 zur Anhörung im Innen¬ 
ausschuss des Hessischen Landtages, Ausschussvorlage INA 19/63 Teil 3, 
S 290 ff (https://hessischer-landtag.de/content/innenausschuss-anh%C3% 
B6rung-zum-verfassungsschutz)). Denn bislang ist es offenbar weder dem 
eine Quellen-TKÜ oder Online-Durchsuchung anordnenden Gericht noch der 
die Maßnahme beantragenden oder bei Gefahr im Verzug zunächst entscheiden¬ 
den Staatsanwaltschaft sowie der durchführenden Behörde sicher möglich, sich 
Gewissheit über die Gesetzes- und Verfassungskonformität der für die informati- 
onstechnische Überwachung jeweils eingesetzten Software (im Folgenden abge¬ 
kürzt: Spähsoftware) zu verschaffen. Sichere IT-Infrastrukturen und durchgehend 
hohe Verschlüsselungsstandards dürfen nicht gefährdet werden. Insbesondere nö¬ 
tig sind strikte Beachtung des vom Bundesverfassungsgericht aus dem allgemei¬ 
nen Persönlichkeitsrecht hergeleiteten Grundrechts auf Gewährleistung der Ver¬ 
traulichkeit und Integrität informationstechnischer Systeme, des Grundsatzes der 
Verhältnismäßigkeit sowie der Nachrangigkeit solcher Ermittlungsmaßnahmen 
vor anderen Erkenntnismöglichkeiten. 
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Wir fragen die Bundesregierung: 

1. In wie vielen Fällen haben Bundesbehörden bisher im Auftrag der Bundes¬ 
anwaltschaft oder in Amtshilfe für Landesstrafverfolgungsbehörden und je¬ 
weiliger zugrundeliegender Anordnungen Spähsoftware eingesetzt 

a) zur Quellen-TKÜ (§ 100a Absatz 1 Sätze 2 und 3 StPO) und 

b) zur Online-Durchsuchung (§ 100b StPO) 

c) bei der Verfolgung jeweils welcher Anlasstaten (bitte aufschlüsseln nach 
jeweiliger Rechtsgrundlage, Anlasstat, durchführender Bundesbehörde). 

2. In wie vielen Fällen richtete sich die Maßnahme gemäß Frage 1 gegen 

a) Beschuldigte 

b) Angeschuldigte 

c) Angeklagte? 

3. In wie vielen Fällen wurden Erkenntnisse, die aufgrund von Maßnahmen ge¬ 
mäß Frage 1 gewonnen wurden, in Verfahren berücksichtigt, die sich nicht 
gegen Personen gemäß Frage 2 richteten? 

4. In wie vielen Fällen gemäß Frage 1 wurden Informationen nicht verwendet, 
da sie den Kembereich privater Lebensführung betrafen, und in wie vielen 
Fällen wurde Informationen, die bereits Eingang in Ermittlungsakten gefun¬ 
den hatten, aus diesem Grund später ausgeschlossen? 

5. Wie können sich nach Kenntnis der Bundesregierung das eine Quellen-TKÜ 
anordnende Gericht und die die Maßnahme beantragende oder bei Gefahr im 
Verzug zunächst entscheidende Staatsanwaltschaft sowie die durchführen¬ 
den Behörden Gewissheit darüber verschaffen, dass wie in der StPO vorge¬ 
schrieben technisch sichergestellt ist, 

a) dass ausschließlich die laufende Telekommunikation überwacht und auf¬ 
gezeichnet werden kann (§ 100a Absatz 5 Satz 1 Nummer la StPO) oder 
dass ausschließlich gespeicherte Inhalte und Umstände der Kommunika¬ 
tion, die ab der TKÜ-Anordnung während des laufenden Übertragungs¬ 
vorgangs hätten überwacht und aufgezeichnet werden können, überwacht 
und aufgezeichnet werden können (§ 100a Absatz 5 Satz 1 Nummer lb 
StPO) und die Quellen-TKÜ nicht zu einem Vollzugriff auf Inhalte und 
Ressourcen des Zielsystems führt und damit faktisch eine rechtswidrige 
Online-Durchsuchung bedeutet 

b) dass am Zielsystem nur Veränderungen vorgenommen werden, die für die 
Datenerhebung unerlässlich sind (§ 100a Absatz 5 Satz 1 Nummer 2 
StPO) und die vorgenommenen Veränderungen am Zielsystem soweit 
technisch automatisch rückgängig gemacht werden (§ 100a Absatz 5 
Satz 1 Nummer 3 StPO)? 

6. Wie können sich nach Kenntnis der Bundesregierung das eine Quellen-TKÜ 
anordnende Gericht und die die Maßnahme beantragende oder bei Gefahr im 
Verzug zunächst entscheidende Staatsanwaltschaft sowie die durchführen¬ 
den Behörden Gewissheit darüber verschaffen, dass 

a) die Spähsoftware („das eingesetzte Mittel“ in der Terminologie der StPO) 
nach dem Stand der Technik gegen unbefugte Nutzung geschützt ist 
(§ 100a Absatz 5 Satz 2 StPO) und 

b) die Maßnahme nicht unzulässig ist, weil sie allein den Kembereich priva¬ 
ter Lebensgestaltung betrifft (§ 1 OOd Absatz 1 StPO)? 
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7. Wie können sich nach Kenntnis der Bundesregierung das eine Online-Durch- 
suchung anordnende Gericht und die die Maßnahme beantragende Staatsan¬ 
waltschaft sowie die durchfuhrenden Behörden Gewissheit darüber verschaf¬ 
fen, dass wie in der StPO vorgeschrieben 

a) soweit möglich technisch sichergestellt ist, dass Daten, die den Kembe- 
reich privater Lebensgestaltung betreffen, nicht erhoben werden (§ lOOd 
Absatz 3 Satz 1 StPO) 

b) technisch sichergestellt ist, dass am Zielsystem nur Veränderungen vor¬ 
genommen werden, die für die Datenerhebung unerlässlich sind (§ 100b 
Absatz 4 i. V. m § 100a Absatz 5 Satz 1 Nummer 2 StPO) 

c) die vorgenommenen Veränderungen bei Beendigung der Maßnahme, so¬ 
weit technisch möglich, automatisch rückgängig gemacht werden (§ 100b 
Absatz 4 i. V. m. § 100a Absatz 5 Satz 1 Nummer 3 StPO) 

d) die Spähsoftware („das eingesetzte Mittel“ in der Terminologie der StPO) 
nach dem Stand der Technik gegen unbefugte Nutzung geschützt ist 
(§ 100b i. V. m. § 100a Absatz 5 Satz 2 StPO)? 

8. Was bedeutet es für die bei Maßnahme-Antrag und Maßnahme-Anordnung 
vorzunehmenden Verhältnismäßigkeitsabwägung, wemi eine Rückgängig¬ 
machung (siehe Fragen 5b und 7c) technisch nicht oder nicht vollständig 
möglich ist? 

9. Wenn eine von einer Privatfirma erstellte Spähsoftware eingesetzt werden 
soll, wie wird nach Kenntnis der Bundesregierung sichergestellt, dass die 
eingesetzte Spähsoftware die einzelnen Vorgaben der StPO (siehe Fragen 5 
bis 7) einhält? 

10. Liegt nach Kenntnis der Bundesregierung einer die Maßnahme beantragen¬ 
den Staatsanwaltschaft und einem die Maßnahme anordnenden Gericht so¬ 
wie den durchführenden Behörden eine von unabhängiger Stelle erstellte 
Zertifizierung darüber vor, dass die eingesetzte Spähsoftware die einzelnen 
Vorgaben der StPO (siehe Fragen 5 bis 7) einhält? 

11. Welche Stelle erstellt ggf. eine Zertifizierung (Frage 10) und ist diese Stelle 
aufgrund welcher Gestaltung unabhängig? 

12. Bedeutet die Antwort der Bundesregierung auf die Fragen 30 bis 32 der Klei¬ 
nen Anfrage der Fraktion BÜNDNIS 90/DIE GRÜNEN auf Bundestags¬ 
drucksache 19/1434 (S. 11/12), dass der Bundesbeauftragten für Datenschutz 
und Informationsfreiheit die Quellcodes der Spähsoftware 

a) zugänglich waren oder sind 

b) nicht zugänglich waren oder sind, 
und im Falle b), warum nicht? 

13. Ist die in der zu Frage Nummer 12 bezeichneten Antwort der Bundesregie¬ 
rung mehrfach erwähnte externe Überprüfung von Spähsoftware auf Geset¬ 
zeskonformität überhaupt geeignet und in der Lage, die Einhaltung der ein¬ 
zelnen Vorgaben der StPO (siehe Fragen 5 bis 7) festzustellen oder handelt 
es sich um eine Überprüfung auf lediglich - wie in der vorgenannten Antwort 
formuliert - „Einhaltung der geforderten Rahmenbedingungen“ und damit 
um eine allgemeine und nicht im Flinblick auf die Vorgaben der StPO spezi¬ 
fische Überprüfung? 
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14. Ist nach Kenntnis der Bundesregierung einer die Maßnahme beantragenden 
Staatsanwaltschaft und einem die Maßnahme anordnenden Gericht dabei 
eine eigene Prüfung der Spähsoftware möglich und ggf. anhand welcher In¬ 
formationen? 

Oder müssen Staatsanwaltschaft und Gericht sich ausschließlich auf die An¬ 
gaben der die Maßnahme durchführenden Behörden verlassen? 

15. Wird nach Kenntnis der Bundesregierung der die Maßnahme beantragenden 
Staatsanwaltschaft und dem die Maßnahme anordnenden Gericht, ggf. auf 
Verlangen, der Quellcode der Spähsoftware zur Verfügung gestellt, und 
wenn nein, warum nicht? 

16. Wenn zum Aufspielen der Spähsoftware - Fälle kriminalistischer List aus¬ 
genommen - bislang unbekannte Schutzlücken des Zielsystems genutzt wer¬ 
den, der Staat sich also als Hacker betätigt, wie wirken sich nach Kenntnis 
der Bundesregierung dann die vielfach beschriebene Gefährdung der IT-Si- 
cherheit insgesamt durch dieses Vorgehen (etwa: Pohlmann/Riedel, Quellen- 
TKÜ als Gefahr für die allgemeine IT-Sicherheit, in: Deutsche Richterzei¬ 
tung Heft 2/2018, S. 52ff.) und die Schutzpflicht des Staates für die IT-Si¬ 
cherheit auf die Rechtmäßigkeits-und Verhältnismäßigkeitsprüfung der die 
Maßnahme beantragenden Staatsanwaltschaft bzw. des anordnenden Ge¬ 
richts aus? 

Rechtfertigt zum Beispiel die Verfolgung eines Bandendiebstahls als mögli¬ 
cher Anlasstat einer Online-TKÜ oder Online-Durchsuchung (§§ 100a Ab¬ 
satz 2 Nummer lj, 100b Absatz 2 Nummer lh StPO) eine Gefährdung der 
IT-Sicherheit insgesamt? 

17. Umfasst die von der StPO geforderte gerichtliche Anordnung der Maßnahme 
jeweils das Aufspielen der Spähsoftware auf das Zielgerät zusammen mit 
dem Ausleiten der Daten oder kann die Spähsoftware zum Zeitpunkt der Be¬ 
antragung und/oder Anordnung der Maßnahme schon auf das Zielgerät auf¬ 
gespielt sein und sich die Beantragung bzw. Anordnung auf das Zulassen des 
Ausleitens beschränken und so der Richtervorbehalt ausgehöhlt werden? 
Wie sind die diesbezügliche Ausführungen in der Gesetzesbegründung zu 
verstehen (Bundestagsdrucksache 18/12785, Seite 51/52)? 

18. Können (ggf. mit welchen Mitteln) - angesichts des Umstandes, dass sich 
auf insbesondere mobilelektronischen Geräten vielfachst Daten sozusagen 
des „ganzen Lebens“ der Zielpersonen und vieler anderer Personen (ggf. un¬ 
beteiligter Dritter) befinden - 

a) Kembereich der Lebensgestaltung und sonstige Daten überhaupt vonei¬ 
nander klar getrennt werden, 

b) dieser Kembereich bei der Online-TKÜ und der Online-Durchsuchung 
überhaupt geschützt und 

c) mithin insgesamt die Anforderung des BVerfG insoweit erfüllt werden 
(bitte ggf. Ablauf und Sicherung genau beschreiben)? 

19. Inwiefern ist die u. a. im Fall der Oldschool Society angewandte Ermittlungs¬ 
methode, heimlich ein weiteres Smartphone zum Mithören anzumelden, aus 
kriminalistischer Sicht (ggf. nach Einschätzung der Bundesregierung) geeig¬ 
net, eine Quellen-TKÜ-Maßnahme auf dem jeweiligen Zielgerät zu erset¬ 
zen? 

20. In wie vielen Fällen wurde die Ermittlungsmethode gemäß Frage 19 in den 
letzten drei Jahren nach Kenntnis der Bundesregierung angewandt? 

21. Welche Kosten insgesamt sind seit 2015 für die Entwicklung und den An¬ 
kauf von Spähsoftware sowie den Ankauf von Sicherheitslücken entstanden? 
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22. Ist die Kostenangabe in: www.sueddeutsche.de/digital/ueberwachung-polizei- 
spioniert-handynutzer-mit-trojaner-aus-1.3842439 („In Haushaltsunterlagen 
für das Jahr 2017 beantragte das BKA Sachmittel im Umfang von 50 Mio. 
Euro, um die „operativen IT-Systeme“ zu verbessern. Der Smartphone-Tro- 
janer wurde damals als „3. Produktlinie“ bezeichnet. Die erste und zweite 
Produktlinie galt Laptops und Desktop-Rechnern.“) zutreffend oder inwie¬ 
weit unzutreffend, und welcher Betrag für operative IT-Systeme ist für den 
Haushalt 2018 angemeldet und mit welchen Jahresbeträgen in die Finanzpla¬ 
nung eingestellt? 

Berlin, den 17. April 2018 

Katrin Göring-Eckardt, Dr. Anton Hofreiter und Fraktion 
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